Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - scsi：target：configfs：以 tg_pt_gp_members_show（） target_tg_pt_gp_members_show（） 格式化的 snprintf（） 傳回 snprintf（） 將具有 snprintf（） 的 LUN 路徑格式化為 256 位元組的堆疊緩衝區，然後 memcpy（） 會從該緩衝區cur_len位元組。snprintf（） 會傳回輸出本應具有的長度，當光纖 WWN 很長時，該長度可能會超過緩衝區大小，因為 iSCSI IQN 名稱最多可達 223 位元組。memcpy（） 站點的檢查僅保護目標頁面寫入，而不保護來源讀取，因此 memcpy（） 將讀取堆疊緩衝區並將相鄰的堆疊內容複製到 sysfs 讀取器，當啟用 CONFIG_FORTIFY_SOURCE 時，將觸發 fortify_panic（）。提交 27e06650a5ea （scsi：目標：target_core_configfs：新增長度檢查以避免緩衝區溢位） 將相同的界限新增至 target_lu_gp_members_show（），但遺漏了tg_pt_gp變體，因此請在此處解決。（CVE-2026-46149）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - ALSA：pcm： oss：修正存取 runtime.oss.trigger 時的資料爭用 目前，可以在沒有保護的情況下同時存取 runtime.oss.trigger 欄位，這可能會導致資料爭用。而且，在這種情況下，它可能會導致更嚴重的問題，因為它是位場;寫入資料時，它也可能覆蓋其他位元欄位，這會完全混淆操作，正如模糊測試所發現的那樣。透過使用 snd_pcm_oss_get_trigger（） 和 snd_pcm_oss_poll（） 中現有的 params_lock 互斥來覆蓋 runtime.oss.trigger 位元 fled 來修正它。（CVE-2026-46157）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 已解決 Linux 核心中的下列弱點：smb/client: fix out-of-bounds read in symlink_data() Since smb2_check_message() returns success without length validation for the symlink error response, in symlink_data() it is possible for iov->iov_len to be smaller than sizeof(struct smb2_err_rsp). If the buffer only contains the base SMB2 header (64 bytes), accessing err->ErrorContextCount (at offset 66) or err->ByteCount later in symlink_data() will cause an out-of-bounds read. (CVE-2026-46185)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Erlang OTP public_key （pubkey_ocsp 模組） 中的不當憑證驗證弱點允許以過期回應憑證簽署的偽造 OCSP 回應被接受為有效。lib/public_key/src/pubkey_ocsp.erl 中 pubkey_ocsp：verify_response/5 和 pubkey_ocsp：is_authorized_responder/3 中的 OCSP 回應驗證不會檢查 OCSP 回應程式憑證的有效期 （notBefore/notAfter）。取得過期 CA 指定 OCSP 回應程式憑證私密金鑰的攻擊者，可偽造 Erlang/OTP 接受為有效的 OCSP 回應。這會影響透過 SSL 應用程式使用 OCSP 裝訂的 TLS 用戶端：惡意或遭入侵的伺服器可能會提供已撤銷的 TLS 憑證以及由過期回應程式金鑰簽署的偽造 OCSP 回應，而用戶端將接受撤銷的憑證為有效。它也會影響直接呼叫 public_key：pkix_ocsp_validate/5 的應用程式，其中影響取決於使用案例：使用此 API 的伺服器端用戶端憑證驗證可能會允許使用撤銷的用戶端憑證繞過身份驗證。
    此問題會影響 OTP 29.0.1之前的 OTP 27.0 、 OTP 28.5.0.1 和 OTP 27.3.4.12，對應於之前1.21.1的 1.16 和 1.20.3.11.17.1.3的 public_key。（CVE-2026-42791）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - batman-adv： bla：在失敗的宣告雜湊插入上放置主幹參照 當 batadv_bla_add_claim（） 無法將新宣告插入雜湊時，它會洩漏對宣告預期之backbone_gw的參照。在錯誤路徑上呼叫 batadv_backbone_gw_put（） 以釋放參照並避免洩漏backbone_gw物件。（CVE-2026-46231）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - ASoC： SOF： 不容許在未配置的串流上進行指標作業 當報告壓縮串流的指標時，我們會將位置除以通道數乘以儲存器位元組數，以報告現行 I/O 框架位置。這些值預設為 0，且僅設定為設定資料流參數的一部分，因此可以設定除以零。驗證它們是否為非零，如果不是 （CVE-2026-46179），則傳回錯誤

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - btrfs：修正 TOCTOU slot_count btrfs_ioctl_space_info（） 可能導致資訊洩露 btrfs_ioctl_space_info（） 在區塊群組 RAID 類型清單的兩次傳遞之間發生 TOCTOU 爭用。第一個階段會計算項目以判斷配置大小，然後第二個階段會填滿緩衝區。groups_sem rwlock 會在傳遞之間釋放，允許並行移除區塊群組以減少項目計數。當第二個傳遞填入的項目少於第一個傳遞計數的項目時，copy_to_user（） 會將完整的 alloc_size 個位元組 （包括尾隨未初始化的 kmalloc 位元組） 複製到使用者空間。透過僅複製total_spaces條目 （第二次傳遞中實際填滿的計數） 而不是 alloc_size 位元組來修正，並切換到 kzalloc，以便任何未來的副本大小不相符都不會洩漏堆積資料。（CVE-2026-46159）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - xfrm：ah：考慮非同步回呼中的 ESN 高位元 當啟用 ESN 時，AH 會以不同的方式配置其臨時驗證/ICV 配置：非同步 ahash 設定會在 ICV 或 auth_data 區域之前附加一個 4 位元組的 seqhi 插槽，但非同步完成回呼仍會重建臨時配置，就像 seqhi 不存在一樣。選取非同步 AH 實作後，會讓 AH 複製或比較 IPv4 和 IPv6 路徑上的錯誤位元組。在具有 ESN 和強制非同步 hmac（sha1） 的 IPv4 AH 上重現 UML 時，ping 會以 100% 封包遺失而失敗，且回呼記錄會顯示前置修正漂移：ah4 output_done：esn=1 err=0 icv_off=20 expected_off=24 ah4 input_done：esn=1 auth_off=20 expected_auth_off=24 icv_off=32 expected_icv_off=36 透過跳過 ESN，以與設定路徑相同的方式重建回呼端配置seqhi 插槽，然後再尋找已儲存的auth_data或 ICV。根據 RFC 4302，ESN 高階 32 位參與 AH ICV 計算，因此非同步回呼必須考慮 seqhi 插槽。修正後，相同的 IPv4 AH+ESN+forced-async-hmac（sha1） UML 重現顯示更正的偏移 （ah4 output_done：esn=1 err=0 icv_off=24 expected_off=24），並且 ping 成功;net/ipv4/ah4.o 和 net/ipv6/ah6.o 在 W=1 處建置乾淨。IPv6 AH+ESN 未在執行階段執行，且尚未針對真正的非同步硬體 AH 引擎測試此變更。（CVE-2026-46193）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - sctp：在 SCTP_SENDALL 中 sctp_sendmsg_to_asoc（） 之後重新驗證清單游標 sctp_sendmsg（） 中的SCTP_SENDALL路徑會使用 list_for_each_entry_safe（） 反覆運算 ep->asocs，這會在迴圈內文執行之前快取 @tmp 中的下一個項目。本文呼叫 sctp_sendmsg_to_asoc（），這可能會丟棄 sctp_wait_for_sndbuf（） 內的通訊端鎖定。當鎖定被刪除時，另一個執行緒可以SCTP_SOCKOPT_PEELOFF快取在 @tmp 中的關聯，透過 sctp_sock_migrate（） 將其遷移到新端點 （list_del_init（） + list_add_tail（） 到 newep->asocs），並選擇性地關閉新通訊端，透過 kfree_rcu（） 釋放關聯。快取的@tmp也可以由該關聯的網路中止釋放，並在卸除鎖定時在 softirq 中處理。sctp_wait_for_sndbuf（） 會在重新鎖定時透過 sk ！= asoc->base.sk 和 asoc->base.dead 檢查重新驗證 @asoc （目前項目），但不會重新驗證@tmp。成功返回後，迭代器會前進到過時的@tmp，產生釋放後使用（如果剝離的通訊端已關閉）或到新端點的清單頭的清單遍歷（&newep->asocs 的類型混淆為結構sctp_association *）。兩者都可以從 CapEff=0 存取;類型混淆路徑會透過 outqueue.sched->init_sid 指標提供受控的間接呼叫。透過在 sctp_sendmsg_to_asoc（） 傳回後從 @asoc 重新派生@tmp來修正。已知@asoc此時仍在 ep->asocs 上：唯一從 ep->asocs list_del關聯的調用者是 sctp_association_free（） （設定 asoc->base.dead） 和 sctp_assoc_migrate（） （更改 asoc->base.sk），並且 sctp_wait_for_sndbuf（） 在任何成功返回之前都會在鎖定下進行檢查;跳閘檢查會以錯誤 < 0 的形式傳播，且迴圈會在重新衍生之前結束。sctp_sendmsg_check_sflags（） 中的SCTP_ABORT路徑傳回 0，並且迴圈在呼叫 sctp_sendmsg_to_asoc（） 之前就命中了「繼續」，因此 list_for_each_entry_safe（） 快取的@tmp仍然涵蓋新增了 ba59fb027307 （sctp：安全遍歷 asoc 清單） 的鎖定釋放。（CVE-2026-46227）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - net： stmmac：當 RX 記憶體耗盡時，防止 NULL 解除參照 CPU 透過傳統 DMA 從 MAC 接收幀：CPU 為 MAC 分配緩衝區，然後 MAC 填充它們並將所有權歸還給 CPU。針對每個硬體 RX 佇列，CPU 和 MAC 會透過 DMA 描述元的共用環形陣列進行協調：每個 DMA 緩衝區一個描述元。每個描述元都包含緩衝區的實體位址和狀態旗標 （OWN），指示哪一方擁有緩衝區：CPU 的 OWN=0，MAC 的 OWN=1。CPU 只允許設定旗標，MAC 只允許清除旗標，兩者都必須依序穿過環：因此環用於提交和完成。在 stmmac 驅動程式中，stmmac_rx（） 會使用「cur_rx」索引為其在環中的位置加上書籤。該函式中的主接收迴圈會檢查 rx_descs[cur_rx].own=0，將對應的緩衝區提供給網路堆疊 （將指標設為 NULL），並以 'cur_rx' 為模環大小遞增。迴圈退出後，stmmac_rx_refill（） 會用「dirty_rx」為其位置加上書籤，配置新的緩衝區並重新武裝描述元（設定 OWN=1）。如果任何配置失敗，它只會提前停止（留下 OWN=0），並在下次呼叫時從中斷的地方重試。這意味著描述符具有三個階段的生命週期（我自己的術語）： - 'empty' （OWN=1，緩衝區有效） - 'full' （OWN=0，緩衝區有效且已填充） - 'dirty' （OWN=0，緩衝區 NULL） 但由於 stmmac_rx（） 只檢查 OWN，所以它混淆了 'full'/'dirty'。過去 （請參閱「修正：」），有一個錯誤，即迴圈可能會循環 'cur_rx' 一直回到它弄髒的第一個描述元，導致在被誤認為「full」時出現 NULL 解除參照。上述提交透過將迴圈的迭代限制為「dma_rx_size - 1」來解決該*特定*失敗，但這只是部分修復：如果先前的 stmmac_rx_refill（） 未完成，則迴圈可能會遇到剩餘的「髒」描述符，而無需完全循環。因此，當 stmmac_rx_refill（） 記憶體不足足夠長以使 'cur_rx' 趕上 'dirty_rx' 時，當前代碼會發生錯誤 （參見 'Closes：'）。透過在前進「cur_rx」之前明確檢查下一個項目是否為髒項目來修正此問題;如果是，請結束迴圈。這可以防止在 stmmac_rx_refill（） 成功之前處理最終使用的描述項，但完全防止了先前錯誤修正所期望的「cur_rx == dirty_rx」歧義：因此也移除了夾具。由於 stmmac_rx_zc（） 是 stmmac_rx（） 的複製貼上和調整，並且程式碼結構相同，因此對 stmmac_rx（） 的任何修復也需要對 stmmac_rx_zc（） 進行相應的修復。因此，請在那裡套用相同的檢查。
    在 stmmac_rx（） （不是 stmmac_rx_zc（）） 中，仍然存在一個相關的錯誤：在 MAC 在最終描述項上設定 OWN=0 之後，它將無法傳送任何進一步的 DMA 完成 IRQ，直到給出更多「空」描述項。目前，驅動程式只是「希望」下一個 stmmac_rx_refill（） 成功，否則可能會面臨接收進程無限期停止的風險。但這不是回歸，因此可以在未來的變更中解決。（CVE-2026-46110）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - SPI： mpc52xx：修正解除綁定時的釋放後使用 狀態機器工作是由中斷處理常式排程的，因此需要在停用中斷後取消，以避免潛在的釋放後使用。
    (CVE-2026-46219)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 已解決 Linux 核心中的下列弱點：openvswitch: vport: fix self-deadlock on release of tunnel ports vports are used concurrently and protected by RCU, so netdev_put() must happen after the RCU grace period. So, either in an RCU call or after the synchronize_net(). The rtnl_delete_link() must happen under RTNL and so can't be executed in RCU context. Calling synchronize_net() while holding RTNL is not a good idea for performance and system stability under load in general, so calling netdev_put() in RCU call is the right solution here. However, when the device is deleted, rtnl_unlock() will call netdev_run_todo() and block until all the references are gone. In the current code this means that we never reach the call_rcu() and the vport is never freed and the reference is never released, causing a self-deadlock on device removal. Fix that by moving the rcu_call() before the rtnl_unlock(), so the scheduled RCU callback will be executed when synchronize_net() is called from the rtnl_unlock()->netdev_run_todo() while the RTNL itself is already released. (CVE-2026-46165)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - mptcp：修正 timestamp sockopt 中使用不可部分完成的排程 在 sock_set_timestamp（） 和 sock_set_timestamping（） 周圍使用 lock_sock_fast（） （不可部分完成上下文） 是不安全的，因為兩個協助程式都可以休眠。將 lock_sock_fast（） 替換為可休眠的 lock_sock（）/release_sock（），以避免在原子錯誤時排程。
    (CVE-2026-46168)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - isofs：驗證 isofs_export_iget isofs_fh_to_dentry（） 和 isofs_fh_to_parent（） 中 NFS 檔案控制碼的區塊編號，將攻擊者控制的區塊編號 （ifid->block 或 ifid->parent_block） 從 NFS 檔案控制碼傳遞給 isofs_export_iget（），這只會在呼叫 isofs_iget（） 之前拒絕區塊 == 0，並最終拒絕 sb_bread（）。具有足以通過提交 0405d4b63d08 （isofs：防止使用太小的 fid） 所新增檢查的fh_len特製檔案控制碼仍然可以驅動伺服器讀取備份裝置上的任何範圍內區塊，就像它是iso_directory_record一樣。已指派 CVE-2025-37780先前的修正程式。超出範圍區塊上的 sb_bread（） 會透過 EIO 路徑乾淨地傳回 NULL，因此不會發生記憶體安全違規。對於相同區塊裝置上相鄰分割區資料的範圍內讀取，不相關的位元組最終會以 dentry 中繼資料的形式到達 NFS 用戶端的iso_inode_info欄位中。部署介面 （透過 NFS 從迴圈掛載映像匯出的 isofs） 很窄，需要經過驗證的 NFS 對等，但格式錯誤的檔案控點類別可在現有 CVE-2025-37780 修正旁邊報告為強化。拒絕 isofs_export_iget（） 中的區塊 >= ISOFS_SB（sb）->s_nzones，因此檢查會用一行涵蓋 isofs_fh_to_dentry（） 和 isofs_fh_to_parent（） 呼叫網站。（CVE-2026-46124）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 已解決 Linux 核心中的下列弱點：smb: client: validate dacloffset before building DACL pointers parse_sec_desc(), build_sec_desc(), and the chown path in id_mode_to_cifs_acl() all add the server-supplied dacloffset to pntsd before proving a DACL header fits inside the returned security descriptor. On 32-bit builds a malicious server can return dacloffset near U32_MAX, wrap the derived DACL pointer below end_of_acl, and then slip past the later pointer-based bounds checks. build_sec_desc() and id_mode_to_cifs_acl() can then dereference DACL fields from the wrapped pointer in the chmod/chown rewrite paths. Validate dacloffset numerically before building any DACL pointer and reuse the same helper at the three DACL entry points. (CVE-2026-46195)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - ip6_gre：在 ip6erspan_changelink（） 中使用快取的 t->net。在提交 5e72ce3e3980 （net： ipv6： 在 rtnl_link_ops 的 newlink（） 中使用連結 netns 之後，ip6erspan_newlink（） 會透過 link_net 正確解析 per-netns ip6gre 雜湊。ip6erspan_changelink（） 未在該系列中轉換，但仍使用 dev_net（dev），這與IFLA_NET_NS_FD移轉後裝置的建立 netns 不同。這會將通道重新插入錯誤的 per-netns 雜湊中。原始 netns 會保留過時的項目。當該 netns 稍後被銷毀時，ip6gre_exit_rtnl_net（） 會遍歷過時的項目，產生由 KASAN 報告的 slab-use-after-free，然後是 unregister_netdevice_many_notify（） 中 net/core/dev.c （LIST_POISON1） 的核心錯誤。可從無特權的使用者命名空間 （unshare --user --map-root-user --net） 連線。 同一檔案中較早的 ip6gre_changelink（） 已使用快取的 t->net;只有 ip6erspan_changelink（） 具有錯誤的形狀。
    (CVE-2026-46120)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - mptcp：pm：ADD_ADDR rtx：修正潛在的資料爭用 此 mptcp_pm_add_timer（） 協助程式在 softirq 上下文中作為計時器回呼執行。為了避免任何資料爭用，需要使用 bh_lock_sock（） 來保持通訊端鎖定。如果通訊端正在使用中，請在不久之後重試，類似於使用 keepalive 計時器所做的操作。（CVE-2026-46137）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - media：saa7164：新增 ioremap 傳回檢查和清理 在 saa7164_dev_setup（） 中新增對 ioremap 傳回值的檢查。如果 BAR0 或 BAR2 的 ioremap 失敗，請釋放已配置的 PCI 記憶體區域，從廣域清單中移除裝置，遞減裝置計數，並傳回 -ENODEV。這可防止潛在的 NULL 指標解除參照，並確保在記憶體對應失敗時正確清除。
    (CVE-2026-46235)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - drm/amdkfd：在配置時清除 VRAM，以防止過時的資料暴露 KFD VRAM 配置設定AMDGPU_GEM_CREATE_VRAM_WIPE_ON_RELEASE但不AMDGPU_GEM_CREATE_VRAM_CLEARED，使新配置的 VRAM 與計算核心可觀察到先前使用的過時資料。GEM ioctl 路徑已透過 amdgpu_gem_create_ioctl（） 和 amdgpu_mode_dumb_create（） 為所有使用者空間配置設定VRAM_CLEARED。
    KFD 路徑缺少此旗標，導致過時的頁面表格殘留項目洩漏到使用者緩衝區中。這會導致 RCCL P2P 傳輸崩潰，其中 ptrExchange/head/tail 欄位中的非零資料會損毀通訊協定交握。（CVE-2026-46229）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - batman-adv：停止快取 BAT IV BAT IV 中無主的發起指標 BAT IV 會在每個neigh_node中保留最後躍點鄰居位址，但某些路徑也會快取從臨時查詢派生的發起指標。該指標不屬於neigh_node，而且在清除處理執行之後，可能不再參照即時發起者項目。停止將輔助發起者指標儲存在 BAT IV 鄰居狀態。當 BAT IV 需要鄰居發起者資料時，請從儲存的鄰居位址解析該資料，並在使用後再次刪除參考。[sven：避免傳出 OGM 的綁定邏輯]（CVE-2026-46238）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - RDMA/vmw_pvrdma：修正 pvrdma_alloc_ucontext（） 錯誤路徑上的雙重釋放 Sashiko 指出 pvrdma_uar_free（） 已經在 pvrdma_dealloc_ucontext（） 中調用，因此之前呼叫它會觸發雙重釋放。（CVE-2026-46189）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - SPI： mpc52xx：修正註冊失敗時的釋放後使用 確保在控制器註冊失敗時停用並釋放中斷，以避免潛在的釋放後使用和資源洩漏。Sashiko 在檢閱控制器取消註冊修正程式時，已標記此問題。（CVE-2026-46241）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - drm/amdkfd：根據緩衝區大小驗證 SVM ioctl nattr 根據緩衝區大小驗證 nattr 欄位，防止透過使用者控制的屬性計數進行越界緩衝區存取。（從提交 5eca8bfdfa456c3304ca77523718fe24254c172f 中挑選）（CVE-2026-46197）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 已解決 Linux 核心中的下列弱點：btrfs: fix double free in create_space_info() error path When kobject_init_and_add() fails, the call chain is: create_space_info()
    -> btrfs_sysfs_add_space_info_type() -> kobject_init_and_add() -> failure -> kobject_put(&space_info->kobj) -> space_info_release() -> kfree(space_info) Then control returns to create_space_info(): btrfs_sysfs_add_space_info_type() returns error -> goto out_free -> kfree(space_info) This causes a double free. Keep the direct kfree(space_info) for the earlier failure path, but after btrfs_sysfs_add_space_info_type() has called kobject_put(), let the kobject release callback handle the cleanup. (CVE-2026-46129)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - batman-adv： bla：刪除宣告時防止釋放後使用 當 batadv_bla_del_backbone_claims（） 移除主幹網的所有宣告時，它會透過刪除雜湊清單中的連結項目來執行此操作。此清單項目本身是需要透過 batadv_claim_put（） 同時刪除的參考文獻之一。但是，在最後一次存取此函式中的宣告物件之前，不得完成 batadv_claim_put（）。否則，在捨棄清單項目之前，batadv_claim_release（） 函式可能已經釋放了宣告。
    (CVE-2026-46212)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - LoongArch：修正 loongson_gpu_fixup_dma_hang（） 中潛在的 ADE loongson_gpu_fixup_dma_hang（） 中的開關大小寫可能不是 DC2 或 DC3，readl（crtc_reg） 會使用隨機位址存取，因為裝置來自 base+PCI_DEVICE_ID，base 來自 pdev->devfn+1。當我的平台插入獨立 GPU 時，這是錯誤的：lspci -tv -[0000:00]-+-00.0 Loongson Technology LLC Hyper Transport Bridge Controller ... +-06.0 Loongson Technology LLC LG100 GPU +-06.2 Loongson Technology LLC Device 7a37 ... 新增預設切換案例以修正錯誤，如下所示： 核心 ade access[#1]： CPU：0 PID：1 Comm：
    swapper/0 未受污染 6.6.。 136-loong64-desktop-hwe+ #4 pc 900000000017e5534 ra 90000000017e54c0 tp 90000001002f8000 sp 90000001002fb6c0 a0 80000efe000003100 a1 0000000000003100 a2 00000000000000000 a3 0000000000000002 a4 90000001002fb6b4 a5 900000087cdb58fd a6 90000000027af000 0 a7 0000000000000001 t0 000000000000085b9 t1 0000000000000ffff t2 00000000000000000000 t3 0000000000000000000 t4 fffffffd t5 0000000000000083b00 t7 0000000000070c0 t8 900000087cdb4d94 u0 900000087cdb58fd s990000001002fb826 s0 90000000031c12c8 s1 7ffffffff00 s2 90000000031c12d0 s3 0000000000002710 s4 0000000000000000000 s5 000000000000000000 s6 9000000100053000 s7 7fffffffffff00 s8 900000000030d4000 ra：
    90000000017e54c0 loongson_gpu_fixup_dma_hang+0x40/0x210 ERA： 90000000017e5534 loongson_gpu_fixup_dma_hang+0xb4/0x210 CRMD： 000000b0 （PLV0 -IE -DA +PG DACF=CC DACM=CC -WE） PRMD：
    00000004 （PPLV0 +PIE -PWE） EUEN：00000000 （-FPE -SXE -ASXE -BTE） ECFG：00071c1d （LIE=0,2-4，） 10-12 VS=7） ESTAT： 00480000 [ADEM] （IS= ECode=8 EsubCode=1） BADV： 7fffffffffffff00 PRID： 0014d000 （Loongson-64bit， Loongson-3A6000-HV） 連結於： 進程交換器/0 （pid： 1， threadinfo=（____ptrval____）， task=（____ptrval____）） 堆疊 ： 0000000000000006 90000001002fb778 90000001002fb704 0000000000000007 0000000016a65700 90000000017e5690 00000000000ffff ffff 9000000000209f7c09000000100053000 9000000000209f7a8 900000000000eebc08 000000000000000000000000000000000000000000000000000000000 0000000000000006 000000000000000000000000000000000000000000000000000000000000 9000000004000001 9000000100054000 9000000100053000 0000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000 90000001002fb7e4 bae765461f31cb12 000000000000000000000000000000000000000000000 0000000000000006 90000000027af000 0000000000000030 90000000027af000 900000087cd6f800 9000000100053000 000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000BAE765461F31CB12 0000000000000001 0000000000000030 ...
    呼叫追蹤：[<90000000017e5534>] loongson_gpu_fixup_dma_hang+0xb4/0x210 [<9000000000eebc08>] pci_fixup_device+0x108/0x280 [<9000000000ebb70c>] pci_setup_device+0x24c/0x690 [<9000000000ebc560>] pci_scan_single_device+0xe0/0x140 [<9000000000ebc684>] pci_scan_slot+0xc4/0x280 [<9000000000ebdd00>] pci_scan_child_bus_extend+0x60/0x3f0 [<9000000000f5bc94>] acpi_pci_root_create+0x2b4/0x420 [<90000000017e5e74>] pci_acpi_scan_root+0x2d4/0x440 [<9000000000f5b02c>] acpi_pci_root_add+0x21c/0x3a0 [<9000000000f4ee54>] acpi_bus_attach+0x1a4/0x3c0 [<90000000010e200c>] device_for_each_child+0x6c/0xe0 [<9000000000f4bbf4>] acpi_dev_for_each_兒童+0x44/0x70 [<9000000000f4ef40>] acpi_bus_attach+0x290/0x3c0 [<90000000010e200c>] device_for_each_child+0x6c/0xe0 [<9000000000f4bbf4>] acpi_dev_for_each_child+0x44/0x70 [<9000000000f4ef40>] acpi_bus_attach+0x290/0x3c0 [<9000000000f5211c>] acpi_bus_scan+0x6c/0x280 [<900000000189c028>] acpi_scan_init+0x194/0x310 [<900000000189bc6c>] acpi_init+0xcc/0x140 [<9000000000220cdc>] do_one_initcall+0x4c/0x310 [<90000000018618fc>] kernel_init_freeable+0x258/0x2d4 [<900000000184326c>] kernel_init+0x28/0x13c [<9000000000222008>] ret_from_kernel_thread+0xc/0xa4 （CVE-2026-46156）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 暫存： media：atomisp：禁止所有私人 IOCTL 禁止所有私人 IOCTL。這些並不像人們假設的 IOCTL 處理常式那麼安全;暫時停用它們。如果 cmd 不為零，則不要刪除代碼，而是在函數的開頭返回，以保持靜態檢查器滿意。（CVE-2026-46205）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - spi： rspi：修正控制器取消註冊 在驅動程式解除綁定期間釋放 DMA 等基礎資源之前，請務必先取消註冊控制器。（CVE-2026-46225）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - x86/CPU/AMD：防止 Zen2 的 op 快取中共享資源的不當隔離 確保資源不會在 op 快取中被不當共享並導致指令損毀。（CVE-2026-46174）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - VSOCK：修正緩衝區大小限制順序 在 vsock_update_buffer_size（） 中，緩衝區大小會先限制為最大值，然後限制為最小值。如果使用者設定的緩衝區大小下限大於最大值，則最小檢查會覆寫最大檢查，從而反轉條件約束。這會允許 vsk->buffer_size 超出設定的 vsk->buffer_max_size，從而破壞預期的通訊端記憶體邊界。透過先檢查最小值，然後檢查最大值來修正此問題。這可確保緩衝區大小永遠不會超過buffer_max_size。（CVE-2026-46234）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - RDMA/rxe：拒絕 drivers/infiniband/sw/rxe/rxe_resp.c 的非 8 位元組ATOMIC_WRITE負載 atomic_write_reply（），在 payload_addr（pkt） 處無條件解除參照 8 個位元組：值 =
    *（u64 *）payload_addr（pkt）;check_rkey（） 先前接受 pktlen == resid == 0 的 ATOMIC_WRITE 要求，因為長度驗證僅比較 pktlen 與 resid。因此，將 RETH 長度設定為 0 的遠端啟動器會以零位元組邏輯負載到達 atomic_write_reply（），回應者從封包邏輯端的 sizeof（u64） 位元組讀取到 skb->head 尾部，然後透過 rxe_mr_do_atomic_write（） 將這 8 個位元組寫入攻擊者的 MR。這是每個探測器 4 個位元組的核心尾部的遠端揭露（其他 4 個位元組是封包自己的尾隨 ICRC）。IBA oA19-28 將ATOMIC_WRITE定義為正好 8 個位元組。其他任何內容都是通訊協定無效的。將嚴格的長度檢查提升到 check_rkey（） 中，以便回應程式永遠不會到達未檢查的取消參照，並保留正常 RDMA WRITE 路徑的現有 WRITE 系列長度邏輯。使用未修改的 rxe 驅動程式在主線上重現：
    持續的零長度ATOMIC_WRITE探查會反覆將相鄰的 SKB 頭部緩衝區位元組洩漏到攻擊者的 MR 中，包括可識別的核心字串和部分核心直接映射指標字。套用此修補程式後，回應程式會拒絕 PDU，且 MR 會保持全零。（CVE-2026-46114）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - dm-verity-fec：修正讀取跨區塊分割的奇偶校驗位元組 （Take 3） fec_decode_bufs（） 假設它解碼的第一個 RS 碼字的奇偶校驗位元組永遠不會在奇偶校驗區塊之間分割。這個假設是錯誤的。例如，考慮 v->fec->block_size == 4096 &; v->fec->roots == 17 & fio->nbufs == 1。在此情況下，每次呼叫 fec_decode_bufs（） 都會耗用 v->fec->roots * （fio->nbufs << DM_VERITY_FEC_BUF_RS_BITS） = 272 個同位位元組。考慮到每個訊息區塊的奇偶校驗資料從區塊邊界開始，奇偶校驗資料中的位元組對齊將迭代 272*i mod 4096，直到消耗 3 個奇偶校驗區塊。在第 16 次調用 （i=15） 中，對齊將是第一個區塊的 4080 位元組。該區塊中只剩下 16 個位元組，但需要 17 個同位位元組。程式碼會從同位區塊緩衝區讀取越界。幸運的是，這通常不會發生，因為只有當由於記憶體不足而無法配置最大數量的緩衝區時，它只會發生在某些非預設值 fec_roots *and* 時。例如，對於 block_size=4096，只有以下情況受到影響： fec_roots=17：[1， 3， 5， 15] 中的 nbufs fec_roots=19：[1， 229] 中的 nbufs fec_roots=21：[1， 3， 5， 13， 15， 39， 65， 195] 中的 nbufs fec_roots=23：[1， 89] 中的 nbufs，無論如何，透過重構同位區塊的讀取方式來修正它。（CVE-2026-46130）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - drm/amdgpu：將邊界檢查新增至 ib_{get，set}_value uvd/vce/vcn 程式碼會在預先定義的位移處存取 IB，而不檢查 IB 是否足夠大。檢查邊界 請點擊這裡. 呼叫端負責確保它可以處理任意傳回值。也要將 idx 設為uint32_t，以防止溢位導致條件失敗。（CVE-2026-46218）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - spi：ch341：修正 devres 存留期 USB 驅動程式繫結至 USB 介面，而且任何裝置受控資源的存留期都應該繫結至介面，而不是父 USB 裝置。這可避免當驅動程式未解除繫結且裝置實際中斷連線時，記憶體洩漏等問題 （例如，在探查延遲或設定變更時） 。修正控制器和驅動程式資料存留期，以便在驅動程式解除繫結時釋放它們。請注意，這也可確保 SPI 控制器正確放置在裝置樹狀結構中的 USB 介面下方。（CVE-2026-46228）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - net：rtnetlink：零ifla_vf_broadcast以避免 rtnl_fill_vfinfo rtnl_fill_vfinfo（） 中的堆疊資訊洩露 在堆疊上宣告結構ifla_vf_broadcast，無需初始化：struct ifla_vf_broadcast vf_broadcast;結構包含一個固定的 32 位元組欄位： /* include/uapi/linux/if_link.h */ struct ifla_vf_broadcast { __u8 broadcast[32]; };然後，函式使用 dev-> 作為長度將 dev->addr_len 複製到其中：memcpy（vf_broadcast.broadcast， dev->broadcast， dev->addr_len）;在乙太網路裝置 （絕大多數 SR-IOV NIC） 上，dev->addr_len 為 6，因此只會寫入 broadcast[] 的前 6 個位元組。其餘 26 個位元組會保留核心堆疊上先前的任何內容。然後，完整的結構會透過以下方式傳遞給使用者空間：nla_put（skb， IFLA_VF_BROADCAST， sizeof（vf_broadcast）， &vf_broadcast） 每個 VF 每個 RTM_GETLINK 要求最多洩漏 26 個位元組的未初始化核心堆疊，可重複。正是出於這個原因，同一函式中的其他 vf_* 結構被明確歸零 - 請參閱上面幾行的 ivi、vf_vlan_info、node_guid 和port_guid 的 memset（） 呼叫。vf_broadcast在添加時只是被遺漏了。可連線性：任何無權限的本機進程都可以在沒有功能的情況下開啟AF_NETLINK/NETLINK_ROUTE，並傳送帶有攜帶RTEXT_FILTER_VF的IFLA_EXT_MASK屬性的RTM_GETLINK。核心遍歷每個 VF 並發出 IFLA_VF_BROADCAST，每個請求每個 VF 會洩漏 26 位元組的堆疊。此呼叫站點的堆疊殘留可以包括傳回位址和暫時性敏感性資料;
    具有堆疊檢測的 KASAN 或 KMSAN 會在重現時標記 nla_put（）。在部分 memcpy 之前將堆疊上結構歸零，以符合相同函式中用於其他 vf_* 結構的現有模式。（CVE-2026-46132）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 已解決 Linux 核心中的下列弱點：usb: ulpi: fix memory leak on ulpi_register() error paths Commit 01af542392b5 (usb: ulpi: fix double free in ulpi_register_interface() error path) removed kfree(ulpi) from ulpi_register_interface() to fix a double-free when device_register() fails. But when ulpi_of_register() or ulpi_read_id() fail before device_register() is called, the ulpi allocation is leaked. Add kfree(ulpi) on both error paths to properly clean up the allocation. (CVE-2026-46109)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 8021q：刪除已清除的輸出 QoS 對應 vlan_dev_set_egress_priority（） 目前會將已清除的輸出優先順序對應保留在雜湊中作為邏輯刪除。因此，具有不同 skb 優先順序的重複設定/清除循環會累積映射節點，直到設備拆卸和洩漏記憶體。清除vlan_prio時刪除對應，而不是保留墓碑。現在出口對應清單受 RCU 保護，節點可以安全地取消連結，並在寬限期後釋放。（CVE-2026-46153）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 藍牙：hci_conn：修正create_big_sync中潛在的 UAF 在 create_big_sync（） 中新增 hci_conn_valid（） 檢查以偵測過時的連線，再繼續建立 BIG。處理 create_big_complete（） 中產生的 -ECANCELED，並在取消參照之前重新驗證 hci_dev_lock（） 下的連接，以符合 create_le_conn_complete（） 和 create_pa_complete（） 使用的模式。在將 create_big_sync（） 排入佇列時，透過 hci_conn_get（） 取得參照，並將其放入完成回呼中，讓 hci_conn 物件跨非同步邊界保持活動狀態。refcount 和鎖是互補的：refcount 保持物件的分配，而 hci_dev_lock（） 則按照 hci_conn_del（） 的要求在 hdev->conn_hash 上序列化 hci_conn_hash_del（） 的 list_del_rcu（）。hci_conn_put（） 是在 hci_dev_unlock（） 之外調用的，因此最終的放置（透過 bt_link_release 解析為 kfree（））不會在 hdev->lock 下運行，儘管無論哪種方式，發布路徑都是安全的。否則，create_big_complete（） 會在錯誤時無條件取消參照 conn 指標，透過 hci_connect_cfm（） 和 hci_conn_del（） 造成釋放後使用。
    (CVE-2026-46111)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - ext4：修正 check_xattrs（） 中的邊界檢查以防止越界存取 check_xattrs（） 中下一個 xattr 項目的邊界檢查使用 （void *）next >= end，這允許 next 指向 end 的 sizeof（u32） 位元組內。在下一次迴圈反覆運算中，IS_LAST_ENTRY（） 透過 *（__u32 *）（entry） 讀取 4 個位元組，這可能會溢出有效的 xattr 區域。例如，如果下一個落在 end - 1，則檢查從下一個 < 結束開始通過，但 IS_LAST_ENTRY（） 從 end - 1 開始讀取 4 個位元組，存取有效區域之外的 3 個位元組。透過將檢查變更為 （void *）next + sizeof（u32） > end 來解決此問題，確保在後續迭代中始終有足夠的空間供 IS_LAST_ENTRY（） 讀取。（CVE-2026-46094）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - spi： fsl：修正控制器取消註冊 在驅動程式解除綁定期間釋放 DMA 等基礎資源之前，請務必先取消註冊控制器。（CVE-2026-46226）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - drm/gem：修正 drm_gem_fb_init_with_funcs（） 中不一致的平面尺寸計算 drm_gem_fb_init_with_funcs（） 使用純整數除法計算子取樣平面尺寸：無符號 int 寬度 = mode_cmd->寬度 / （i ？ info->hsub ： 1）;無符號 int 高度 = mode_cmd->height / （i ？ info->vsub ： 1）;不過，drm_framebuffer.c 中的 ioctl 層級 framebuffer_check（） 使用 drm_format_info_plane_width/height（），透過 DIV_ROUND_UP（） 四捨五入維度。這種不一致會破壞特定圖元格式和維度組合的後續 GEM 物件大小檢查。例如，使用 NV12 （vsub=2） 和 1 像素高的影像緩衝區時，GEM 大小驗證路徑會看到 height=0，而不是 height=1。然後，運算式 （height - 1） 會以無符號 int 的形式包裝成 UINT_MAX，導致 min_size 溢位並換行回小值。因此，一個微小的 GEM 對象通過了尺寸保護，但當 GPU 訪問色度平面時，它將讀取或寫入超出對象邊界的內存。透過將開放編碼除法替換為 drm_format_info_plane_width（） 和 drm_format_info_plane_height（） 來修正，它們使用 DIV_ROUND_UP（） 並與 framebuffer_check（） 中已使用的計算相符。（CVE-2026-46209）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - wifi：mac80211：如果連線準備失敗，則移除工作站 如果 MLO 連線的連線準備失敗，則介面將完全重設為非 MLD。在這種情況下，我們不能保留該站，因為它與被刪除的 vif 的鏈接有關。刪除現有樁號。任何new_sta都已經被刪除，因此不需要更改。如果啟用了釋放後使用/雙重釋放，這會修正 debugfs 中的釋放後使用/雙重釋放，因為從 MLD （和 MLD，但這與此無關） 的 vif 會重新建立其整個 debugfs。（CVE-2026-46125）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - xfrm：防禦性地取消雜湊xfrm_state清單__xfrm_state_delete KASAN 在
    在 linux-6.12.y 穩定版上載入 syzkaller 下的 __xfrm_state_delete（） hlist_del_rcu呼叫 （在 6.12.47，也可透過 torvalds/master 和 ipsec 樹狀結構上的相同程式碼路徑存取）。xfrm_state生命週期中有九個唯一的簽名集群，其中承重的簽名是： 錯誤：KASAN：在 include/linux/list.h：990 __hlist_del中的 slab-use-after-free [內聯] 錯誤：KASAN：在 include/linux/rculist.h：516 hlist_del_rcu中的 slab-use-after-free [內聯] 錯誤：KASAN：__xfrm_state_delete net/xfrm/xfrm_state.c 中的 slab-use-after-free 通過任務 kworker/u8：9/435 在 addr ffff8881198bcb70 寫入大小 8 工作隊列： netns cleanup_net 呼叫追蹤：__hlist_del / hlist_del_rcu __xfrm_state_delete xfrm_state_delete xfrm_state_flush xfrm_state_fini ops_exit_list cleanup_net 其他觀察到的簽章從
    __xfrm_state_lookup、xfrm_alloc_spi、__xfrm_state_insert 和 __xfrm_state_delete 的 OOB 寫入變體，全部位於 byseq/byspi 雜湊鏈上。__xfrm_state_delete（） 使用基於值的述詞保護其 byseq 和 byspi 取消雜湊：if （x->km.seq） hlist_del_rcu（&x->byseq）;if （x->id.spi） hlist_del_rcu（&x->byspi）;而檔案中的其他任何地方 （例如 state_cache、state_cache_input） 則使用更安全的 hlist_unhashed（） 檢查。xfrm_alloc_spi（） 在 xfrm_state_lock 內設定 x->id.spi = newspi，然後立即插入 byspi，但在 xfrm_state_lock 之外觀察到 x->id.spi ！= 0 的路徑仍然可以跳過或命中 byspi 取消雜湊，與 x 是否實際在清單中不一致。x->km.seq 與 byseq 也是如此，並且 bydst/bysrc 解雜湊根本沒有述詞，因此同一物件上的第二個 __xfrm_state_delete（） 會透過 pprev 寫入LIST_POISON。這裡的防禦性變化：- 在 bydst、bysrc、byseq 和 byspi 上使用 hlist_del_init_rcu（） 而不是 hlist_del_rcu（），因此第二次刪除是無操作，而不是寫入 LIST_POISON pprev。byseq/byspi 節點已在 xfrm_state_alloc（） 中初始化。- 測試 hlist_unhashed（） 而不是 byseq/byspi 的值述詞，因此取消雜湊決策會追蹤清單狀態，而不是可變純量欄位。實證驗證：在 v6.12.47 之上套用此修補程式，在先前的崩潰配置上重建並重新運行相同的 syzkaller 工具 1 小時 16 分鐘，該配置在 slab-use-after-free 中每個產生 ~100 次命中 讀取 在 xfrm_alloc_spi 中讀取 / 在 __xfrm_state_lookup 中讀取 / 寫入在
    __xfrm_state_delete。修補程式之後， 7.1M 32 個 VM 的 execs 以 ~1550 exec/秒的速度產生零 xfrm_state UAF/OOB 命中。/proc/slabinfo 確認 xfrm_state slab 在執行期間已主動配置和釋放 （~143 KiB 駐留），因此模糊測試器仍在執行這些程式碼路徑 -- 它們只是不再損毀。
    重現： - Linux 6.12.47 x86_64 + KASAN_GENERIC + KASAN_INLINE + KCOV - syzkaller @ 746545b8b1e4c3a128db8652b340d3df90ce61db - 32 個 QEMU/KVM VM x 2 個 vCPU 在 AWS c5.metal 裸機 - 在 ~9 小時內收集的 9 個唯一簽名，全部在xfrm_state生命週期內 （CVE-2026-46116）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - USB： usblp：透過短回應修正 IEEE 1284 裝置 ID 中的堆積洩漏 usblp_ctrl_msg（） 將 usb_control_msg（） 傳回值摺疊為 0/-errno，捨棄實際傳輸的位元組數。損壞的印表機可以完成GET_DEVICE_ID控制傳輸短路，驅動程式無從得知。
    usblp_cache_device_id_string（） 從回應中讀取 2 位元組大端長度前置詞並信任它 （僅限制在緩衝區邊界）。探測時，緩衝區為 kmalloc（1024）。傳送剛好兩個位元組的裝置 （例如，0x03 0xFF，聲稱擁有 1023 位元組的 ID） 會留下 device_id_string[2..1022] 保留過時的 kmalloc 堆積。然後，該過時資料會公開： - 透過 ieee1284_id sysfs 屬性 （sprintf（%s， buf+2），在過時堆積中的第一個 NUL 處截斷），以及 - 透過 IOCNR_GET_DEVICE_ID ioctl，無論 NUL 為何，它都會copy_to_user（）完整的宣告長度，最多 1021 位元組的未初始化堆積，洩漏大小由裝置選擇。只需在每個請求發送到設備之前用零 zapping 緩衝區來解決此問題。（CVE-2026-46151）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - drm/xe/hdcp：在 intel_hdcp_gsc_check_status（） 中新增 media_gt 的 NULL 檢查 當透過 configfs 停用媒體 GT 時，不會分配 media_gt，這會保留為 NULL。在這種情況下，intel_hdcp_gsc_check_status（） 會導致核心頁面錯誤，這是因為 >->uc.gsc 被評估為無效的記憶體位址。通過對media_gt引入 NULL 檢查並在是這樣的情況下提前救助來解決這個問題。
    同時，也刪除 gsc 的 NULL 檢查，因為如果 gsc 不是 NULL，它就不能是 NULL media_gt。v2： - 只有在檢查 gt 不是 NULL 之後，才能取得 gsc 的位址。（Shuicheng） - 刪除 gsc 的 NULL 檢查。
    （Shuicheng） v3： - 新增修正和 cc： <stable...> 標籤。（馬特）（從提交 bfaf87e84ca3ca3f6e275f9ae56da47a8b55ffd1 中挑選）（CVE-2026-46216）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - SPI：mpc52xx：修正控制器取消註冊 在驅動程式解除綁定期間停用和釋放中斷和 GPIO 等基礎資源之前，請務必先取消註冊控制器。（CVE-2026-46200）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - batman-adv：修正 buff_pos 上的整數溢位 修正 batadv_iv_ogm_send_to_if 中存在的整數溢位。大小檢查是使用 batadv_iv_ogm_aggr_packet 中的 int 類型完成的，而 buff_pos 變數使用 s16 類型。這可能會導致越界讀取。（CVE-2026-46198）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - batman-adv： bla：僅清除未發布的聲明 當 batadv_bla_purge_claims（） 遍歷聲明清單時，它只是使用 rcu_read_lock（） 遍歷雜湊清單。由於潛在的並行 batadv_claim_put（），它可能會遇到一個實際上正在被 batadv_claim_release（） 釋放+釋放的聲明。在此情況下，在啟動延遲的 RCU kfree 之前，backbone_gw 會設為 NULL。這樣就不再允許調用 batadv_bla_claim_get_backbone_gw（），因為這會導致 NULL-ptr 解除參照。若要避免此情況，必須只清除具有有效參照計數器的宣告。所有其他的都已經處理好了。（CVE-2026-46233）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - RDMA/mlx4：修正 mlx4_srq_event（） 中 RCU 的誤用 Sashiko 指出 radix_tree 本身是 RCU 安全的，但沒有任何東西可以用 RCU 釋放 mlx4_srq 結構，甚至在 RCU 關鍵區段中也無法存取它。如果在 srq 物件完成初始化之前傳遞事件，它也會當機。使用微調鎖，因為要讓 RCU 運作並不容易，請使用 refcount_inc_not_zero（） 來防止部分初始化的物件，並命令 refcount_set（） 在 srq 完全初始化之後。
    (CVE-2026-46181)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - btrfs：修正 create_space_info_sub_group（） 錯誤路徑中的雙重釋放 當 kobject_init_and_add（） 失敗時，呼叫鏈為： create_space_info_sub_group（） -> btrfs_sysfs_add_space_info_type（） -> kobject_init_and_add（） -> 失敗 -> kobject_put（&sub_group->kobj） -> space_info_release（） -> kfree（sub_group） 然後控制權返回給 create_space_info_sub_group（）， 其中：
    btrfs_sysfs_add_space_info_type（） 傳回錯誤 -> kfree（sub_group） 因此，sub_group被釋放兩次。保留 parent->sub_group[index] = NULL 作為失敗路徑，但在 btrfs_sysfs_add_space_info_type（） 呼叫 kobject_put（） 之後，讓 kobject 釋放回呼處理清理。（CVE-2026-46164）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

ID	名稱	嚴重性
317590	Linux Distros 未修補弱點：CVE-2026-46149	high
317589	Linux Distros 未修補弱點：CVE-2026-46157	high
317588	Linux Distros 未修補弱點：CVE-2026-46185	critical
317587	Linux Distros 未修補弱點：CVE-2026-42791	medium
317586	Linux Distros 未修補弱點：CVE-2026-46231	medium
317585	Linux Distros 未修補弱點：CVE-2026-46179	medium
317584	Linux Distros 未修補弱點：CVE-2026-46159	medium
317583	Linux Distros 未修補弱點：CVE-2026-46193	medium
317582	Linux Distros 未修補弱點：CVE-2026-46227	high
317581	Linux Distros 未修補弱點：CVE-2026-46110	high
317580	Linux Distros 未修補弱點：CVE-2026-46219	high
317579	Linux Distros 未修補弱點：CVE-2026-46165	medium
317578	Linux Distros 未修補弱點：CVE-2026-46168	medium
317577	Linux Distros 未修補弱點：CVE-2026-46124	high
317576	Linux Distros 未修補弱點：CVE-2026-46195	high
317575	Linux Distros 未修補的弱點：CVE-2026-46120	high
317574	Linux Distros 未修補弱點：CVE-2026-46137	critical
317573	Linux Distros 未修補弱點：CVE-2026-46235	medium
317572	Linux Distros 未修補弱點：CVE-2026-46229	medium
317571	Linux Distros 未修補弱點：CVE-2026-46238	high
317570	Linux Distros 未修補弱點：CVE-2026-46189	high
317569	Linux Distros 未修補弱點：CVE-2026-46241	high
317568	Linux Distros 未修補弱點：CVE-2026-46197	high
317567	Linux Distros 未修補弱點：CVE-2026-46129	high
317566	Linux Distros 未修補弱點：CVE-2026-46212	high
317565	Linux Distros 未修補弱點：CVE-2026-46156	medium
317564	Linux Distros 未修補弱點：CVE-2026-46205	high
317563	Linux Distros 未修補弱點：CVE-2026-46225	medium
317562	Linux Distros 未修補弱點：CVE-2026-46174	high
317561	Linux Distros 未修補弱點：CVE-2026-46234	high
317560	Linux Distros 未修補弱點：CVE-2026-46114	high
317559	Linux Distros 未修補弱點：CVE-2026-46130	high
317558	Linux Distros 未修補的弱點：CVE-2026-46218	high
317557	Linux Distros 未修補弱點：CVE-2026-46228	medium
317556	Linux Distros 未修補弱點：CVE-2026-46132	medium
317555	Linux Distros 未修補弱點：CVE-2026-46109	medium
317554	Linux Distros 未修補的弱點：CVE-2026-46153	medium
317553	Linux Distros 未修補弱點：CVE-2026-46111	high
317552	Linux Distros 未修補弱點：CVE-2026-46094	high
317551	Linux Distros 未修補弱點：CVE-2026-46226	medium
317550	Linux Distros 未修補弱點：CVE-2026-46209	high
317549	Linux Distros 未修補弱點：CVE-2026-46125	medium
317548	Linux Distros 未修補弱點：CVE-2026-46116	high
317547	Linux Distros 未修補弱點：CVE-2026-46151	medium
317546	Linux Distros 未修補弱點：CVE-2026-46216	medium
317545	Linux Distros 未修補弱點：CVE-2026-46200	medium
317544	Linux Distros 未修補弱點：CVE-2026-46198	high
317543	Linux Distros 未修補弱點：CVE-2026-46233	medium
317542	Linux Distros 未修補的弱點：CVE-2026-46181	high
317541	Linux Distros 未修補弱點：CVE-2026-46164	high

偵測

Nessus 的 Misc. 系列

high

high

critical

medium

medium

medium

medium

medium

high

high

high

medium

medium

high

high

high

critical

medium

medium

high

high

high

high

high

high

medium

high

medium

high

high

high

high

high

medium

medium

medium

medium

high

high

medium

high

medium

high

medium

medium

medium

high

medium

high

high